SilverFoxグループ、3種のドライバ使ったBYOVDチェーンとValleyRATで日本組織を標的に

SilverFoxグループ、3種のドライバ使ったBYOVDチェーンとValleyRATで日本組織を標的に

The Hacker News – Jul 30, 2026

中国のサイバー犯罪グループSilver Foxが、産業製造部門の日本組織を狙ったBYOVD攻撃において、新たなドライバが利用されているとCato Networksの研究者らが報告。この攻撃の最終目的は、永続的なリモートアクセスを確立するためにValleyRAT（Winos 4.0）を配布することだったという。

この攻撃キャンペーンは当初Xユーザー「MisaKi」氏によって共有されたもので、ある日本組織に送られたフィッシングメールからスタートしていた。このメールには、インボイスが含まれるとされるファイルが添付されていたが、受信者がこれを開くと、正規のQQインフラにホストされたZIPアーカイブのダウンロードに繋がるとされる。

このZIPアーカイブにはダウンローダー実行ファイルが含まれており、これが次段階のコンポーネント（ConvertToPDF.exeまたはPDFDirect.exe）を攻撃者が制御するTencent Cloudのインフラから取得するという。ConvertToPDF.exeとPDFDirect.exeはいずれも正規のアプリケーションで、Silver Foxはこれらを悪用して悪意あるPDFCORE8.dllをサイドローディングする。Catoによると、いずれのアプリケーションもDLLサイドローディングのホストになっている旨が報告されたことはこれまでなかったという。

PDFCORE8.dllには、BootRepair.sys、EnPortv.sys、およびwsftprm.sysが埋め込まれている。過去のSilver Foxの攻撃では、BYOVD攻撃に正規の脆弱なamsdk.sysドライバおよびwsftprm.sysドライバが使用されていたものの、最新のキャンペーンでは、wsftprm.sysに加えて新しくBootRepair.sysとEnPortv.sysの2つがBYOVDに使われるようになっているとされる。

さらにPDFCORE8.dllは、独立した実行フレームワークとして機能し、スケジュールされたタスクを通じて永続性を確保するウォッチドッグバッチスクリプトを起動する役割も担う。また外部サーバー（43.128.26[.]132）と通信してシェルコードを取得し、「スレッドコンテキストハイジャック」と呼ばれる手法を用いて、新しい「svchost.exe」プロセスにそのシェルコードを注入するという。

結果として配布される最終段階のインプラントが、ValleyRAT（Winos 4.0）と呼ばれるGh0st RATの亜種。このRATはC2通信やタスク実行、その他のポストエクスプロイト性能などといったリモートアクセス機能を備えている。なお、今回の事例ではValleyRATがリモートアクセスを確立する前に、PDFCORE8.dllがCatoのSASE Platformによってブロックされたと伝えられている。

この攻撃シーケンスの特徴とされるのが、実行の回復を保証するデュアルウォッチドッグ設計。これは、注入されたペイロードを監視する内部ルーチンと、そのペイロード作成に関与するローダーを監視する前述のウォッチドッグスクリプトとを組み合わせたもので、この二段構えのアプローチにより、一方のコンポーネントだけを終了させただけでは、侵入を完全に阻止できない可能性が生まれる。つまり、注入されたペイロードが終了しても、ローダーによって再作成される上、ローダー自体が終了した場合でも、ウォッチドッグスクリプトが作動してローダーを再起動する仕組みになっているという。

今回のキャンペーンは、SilverFoxがいかに検出回避・リモートアクセスツールキットを拡張させているかを示しているとCatoは指摘。防御担当者に対しては、信頼されているアプリケーショにゃ正規のクラウドサービスを評価する重要性を伝えた上で、「検知においては、ローカルDLLのローディング、カーネルドライバサービスの作成、一時停止中のプロセスの操作、レジストリに常駐するペイロード、および繰り返されるプロセスの復旧など、一連のアクティビティ全体に焦点を当てるべきである」と述べた。